Inhoud
Task 1: Management Control & Internal Control.................................................2
Hoofdstuk 1 VMS: Organizations and their Systems.........................................2
Hoofdstuk 3 VMS: Bridging the Gap between Internal Control and
Management Control......................................................................................... 4
Task 2: Internal Control Frameworks.................................................................10
COSO................................................................................................................ 10
COBIT............................................................................................................... 13
SOX.................................................................................................................. 14
Task 3: Control Environment.............................................................................. 15
COSO: Control Environment............................................................................ 15
Task 4: Business Risks........................................................................................ 15
COSO: Risk Assessment...................................................................................15
COSO-ERM....................................................................................................... 16
Boek Kinney..................................................................................................... 17
Task 5: Segregation of duties.............................................................................. 17
Hoofdstuk 2 VMS: Internal Control.................................................................17
Task 6: Control terminology................................................................................ 19
Hoofdstuk 2 VMS: Internal Control.................................................................19
Task 7: Information & Communication and Monitoring.....................................20
COSO: Information & Communication.............................................................20
COSO: Monitoring activities............................................................................ 21
Task 8: Organizatioinal processes.......................................................................21
Hoofdstuk 5 VMS: Documenting and Evaluating Internal Control Systems....21
Hoofdstuk 6 VMS: Organizational processes...................................................24
Hoofdstuk 10 VMS: The Sales Process............................................................25
Controls checklist............................................................................................. 28
Task 9: Typology of organizations.......................................................................30
Hoofdstuk 12 VMS: Typology of Organizations...............................................30
Task 10: Trade organizations..............................................................................34
European Court of Auditors (Guideline IT)......................................................34
Hoofdstuk 13 VMS: Trade Organizations........................................................35
Task 11: Production organizations......................................................................40
Hoofdstuk 14 VMS: Production Organizations................................................40
Hoofdstuk 9 VMS: The Production Process.....................................................45
Task 12: Service organizations...........................................................................46
, Hoofdstuk 16 VMS: Service Organizations that Put Space and Electronic
Capacity at their Customers’ Disposal.............................................................46
Task 14: Internal control reporting.....................................................................49
Artikel: The Effect of SOX Internal Control Deficiencies on Firm Risk and Cost
of Equity (Ashbaugh-Skaife, Collins, Kinney and LaFond)...............................49
Artikel: Determinants of Weaknesses in Internal Control over Financial
Reporting (Doyle, Ge and McVay)....................................................................50
Artikel: Accruals Quality and Internal Control over Financial Reporting
(Doyle, Ge, McVay)........................................................................................... 51
Task 15: The big picture..................................................................................... 53
Artikel: Corporate governance and the audit process (Cohen, Krishnamoorthly
and Wirght)...................................................................................................... 53
Artikel: Corporate governance and internal control over financial reporting: A
comparison of regulatory regimes (Hoitash, Hoitash and Bedard).................55
Artikel: Do audit fees reflect risk premiums for control risk? (Jiang and Son) 56
Artikel: Internal control reporting and audit report lags: Further evidence
(Munsif, Raghunandan and Rama)...................................................................58
Task 1: Management Control & Internal Control
Hoofdstuk 1 VMS: Organizations and their Systems
Een organisatie is een samenwerkingsverband van mensen en middelen om
gezamenlijke doelen te bereiken, zodat de organisatie in een situatie van in-
control kan komen. Mensen spelen een belangrijke rol in deze definitie,
waaronder de volgende drie functies:
1. De informatiemanager: Deze functionaris heeft vooral de rol vanuit een
managementaspect om de informatievoorziening in en door de
organisatie te stroomlijnen. Daarbij verzorgt de informatiemanager een
key role in de goede werking van IT-systemen en steunt hij hierop.
2. De controller: Hij is de generalist die op financieel gebied expert is. De
controller brengt als tussenpersoon de belangen van het management en
de werkvloer bij elkaar, waarbij de financiële houdbaarheid van
beslissingen centraal staat in zijn evaluatie.
3. De accountant: Zijn rol is het controleren van financiële overzichten en
verslag uitbrengen over zijn bevindingen. Daarbij doet hij een uitspraak
over de kwaliteit van het systeem van interne beheersing (internal control
system (ICS)) en stelt hij de betrouwbaarheid van de informatie in de
financiële overzichten vast. Een goed werkend ICS kan bijdragen aan een
hogere mate van betrouwbaarheid, waardoor hij minder
gegevensgerichte controlewerkzaamheden hoeft uit te voeren.
Internal Control focust zich op governance en beheersing van organisaties en
daarom ook op het sturen en beheersen van mensen in de organisatie. Hieruit
kunnen problemen voortvloeien:
1. Lack of direction: Werknemers niet weten wat van hen verwacht wordt.
, 2. Motivational problems: Werknemers niet gemotiveerd zijn om de
organisatiedoelen na te streven (door persoonlijke doelen).
3. Personal limitations: Werknemers niet over de benodigde competenties
beschikken om te doen wat van hen verwacht wordt.
Het vakgebied dat zich voornamelijk richt op het beheersen van het gedrag van
mensen en het oplossen van voorgenoemde problemen heet Management
Control. Organisaties richten hiertoe een management control system (MCS) in
om het gedrag van mensen in de organisatie zodanig te sturen dat zij bijdragen
aan de realisatie van de organisatiedoelen. Voorbeelden hiervan zijn het
ontwikkelen van een organisatiecultuur of het bieden van een goed salaris of
een veilige werkomgeving.
Strategische organisatiedoelen worden doorvertaald naar tactische en
operationele doelstellingen die concreter van aard zijn. Informatievoorziening
speelt daarbij een belangrijke rol. Informatie is belangrijk voor drie redenen:
1. Informatie als middel om te delegeren en verantwoording af te leggen;
2. Informatie als middel om beslissingen te nemen; en
3. Informatie als middel om de organisatie te besturen.
Ad 1 Informatie als middel om te delegeren en verantwoording af te leggen
Delegatie van werkzaamheden is vereist als in persoon in alle redelijkheid niet
alle werkzaamheden zelf kan verrichten om een strategisch doel te behalen. Het
is dan wel vereist dat de uitvoerende werknemer regelmatig verantwoording
aflegt over de realisatie van de gestelde doelen.
Ad 2 Informatie als middel om beslissingen te nemen
Informatie is een belangrijk middel om beslissingen te nemen, bijvoorbeeld voor
inkoop-/verkoopbeslissingen of om te investeren. Informatie door
verantwoording af te leggen kan dienen als input van informatie om
beslissingen te nemen.
Ad 3 Informatie als middel om de organisatie te besturen
Het systematisch verzamelen, opnemen en verwerken van gegevens ten
behoeve van het informatievoorzieningssysteem voor het besturen, beheersen
en doen functioneren van de organisatie en verantwoording af te leggen over
het gevoerde beleid.
Het is van belang om een onderscheid te maken tussen gegevens en informatie,
waarbij informatie alle verwerkte gegevens omvat die een betekenis geven aan
de gebruiker van de informatie. Op die manier heeft de gebruiker een beter
begrip over de realiteit.
Informatie- en communicatietechnologie (ICT) speelt een belangrijke rol in het
opnemen en verwerken van gegevens en binnen de interne en externe
informatievoorziening van een organisatie, waarbij ICT het informatieproces
effectiever en efficiënter kan maken ten aanzien van het nemen van
beslissingen of het communicatieproces.
Een Accounting Information System (AIS) is gericht op het sturen en
structureren van planning- en controleprocessen teneinde:
, o informatie te geven als input voor besluitvorming en verantwoording af te
leggen aan interne en externe stakeholders, waarbij de informatie voldoet
aan bepaalde kwaliteitscriteria;
o de juiste randvoorwaarden te stellen voor deugdelijke besluitvorming; en
o te zorgen dat geen waarden/middelen op een niet-legitieme wijze aan de
organisatie onttrokken worden.
Een AIS verwerkt data en transacties om gebruikers te voorzien van financiële
informatie om de bedrijfsvoering te plannen, sturen en beheersen. Een AIS is
een onderdeel van het MIS dat specifiek gericht is op de informatievoorziening
van financiële transacties.
Twee belangrijke elementen van een AIS zijn controle en governance. Controle
heeft een terugkijkend element (IST vs SOLL) en een vooruitkijkend element
(aanpassing indien de realisatie afwijkt van de norm) dat zich op het verbeteren
van de toekomstige operationele bedrijfsvoering om de gestelde
organisatiedoelen in continuïteit te realiseren. Governance is daarbij het proces,
de checks and balances, om een organisatie op de juiste weg te laten blijven ten
aanzien van de continue realisatie van de organisatiedoelen.
Hoofdstuk 3 VMS: Bridging the Gap between Internal Control and Management
Control
Binnen de hiërarchische indeling van organisaties kunnen management control
levels onderscheiden worden. Anthony onderscheidt drie lagen, te weten:
1. Strategische planning: het vaststellen van de organisatorische
doelstellingen, wijzigingen hierin en de benodigde middelen om deze
doelen te bereiken.
2. Management control: het koppelen van strategische planning aan
operational/task control door te zorgen dat middelen effectief en efficiënt
worden ingezet om de doelen van de organisatie te realiseren.
3. Operational control: het proces om te zorgen dat specifieke taken op
effectieve en efficiënte wijze worden uitgevoerd.
Om gedrag van medewerkers te beïnvloeden kan gebruik gemaakt worden van
een aantal vormen van controls. Hiervoor zijn verschillende frameworks
ontwikkeld.
Totaal aan Merchant Ouchi
controls
Market controls Market controls
Cultural controls Cultural Clan controls
controls
Input controls Personnel
controls
Process controls Action Bureaucratic
controls controls
Output controls Results
, controls
Het management control framework is hieronder in figuur 3.1 weergegeven.
Market Controls
Het marktmechanisme speelt hierbij een belangrijke rol waarbij de externe
markt van invloed is op de interne organisatie om vast te stellen of managers
doelgericht handelen en biedt een referentiekader. Echter door marktfalen en
marktonvolkomenheden als gevolg van informatieasymmetrie (1), heterogeniteit
van producten en diensten (2), toegankelijkheid van markten (3) of verschil in
financiële doelstellingen (wel of niet gericht op winstmaximalisatie) dan wel
aanwezigheid van overheidsinmenging (4) zorgt ervoor dat marktwerking alleen
niet alleen voldoende is. Reciprociteitsnormen zorgen ervoor dat marktpartijen
die zich niet aan de regels houden, door andere marktpartijen worden gestraft
(bijv. strafrechtelijke vervolging bij fraude als prestaties beter zijn voorgedaan
dan ze in werkelijkheid zijn).
Cultural Controls
Cultural controls zijn gericht op het tot stand brengen van een
organisatiecultuur die bijdraagt aan het realiseren van de organisatiedoelen
door het delen van waarden, normen, gedachtegoed en tradities die bij de
organisatie passen. Cultural controls bestaat uit een vijftal complementaire
instrumenten, namelijk:
1. Gedragscodes, zoals missie, visie, bedrijfswaarden -en normen en ethische
gedragscodes.
, 2. Groepsgewijze beloningen door op basis van samenwerking en consensus
gezamenlijk bij te dragen aan de realisatie van de organisatiedoelen.
3. Intraorganizationele transfers van medewerkers om te functioneren als
onderdeel van de gehele organisatie in plaats van per afdeling.
4. Fysieke en sociale afspraken, waarbij fysieke maatregelen o.a. de
inrichting van kantoren, kledingvoorschriften en ter beschikking gestelde,
zakelijke auto’s omvatten en sociale maatregelen de handelingen die de leiding
verricht om te zorgen dat medewerkers zich vereenzelvigen met de organisatie,
zoals verhalen over de oprichters of de roemruchte geschiedenis, omvatten.
Beide soorten maatregelen dragen bij aan de vorming en instandhouding van
een bepaalde organisatiecultuur.
5. Toon aan de top is wellicht het belangrijkst. Het gedrag van de
medewerkers wordt geïnspireerd door het gedrag van de leiding van de
organisatie. De leiding is verantwoordelijk voor het aansturen en beheersen van
de organisatieactiviteiten, maar functioneert ook als “rolmodel”. In woord en
gedrag dient zij consistent te zijn en het goede voorbeeld te geven. De daad bij
het woord voegen en vertrouwen opbouwen is daarbij van cruciaal belang.
Input controls
Dit houdt in dat managers zowel taak specifieke ervaring, opleiding en
deskundigheid moeten hebben, als over bepaalde
persoonlijkheidseigenschappen moeten beschikken. Het management moet de
toebedeelde taken kunnen uitvoeren op behoorlijke wijze en daartoe heeft zij
ook bepaalde mensen en middelen nodig. Deze inputs zijn:
1. Werving en selectie: Om zorg te dragen dat managers effectief en
efficiënt de aan hen opgedragen taken kunnen uitvoeren, is een goede
wervings- en selectieprocedure van medewerkers vereist, mede om bij te
dragen aan een goede beheersing van de inputs. De reguliere procedure
van cv’s bekijken en certificaten opvragen wordt verruimd met het
uitvoeren van intelligentietests en andere vormen van assessments. Dit is
een vorm van administratieve beheersing, maar het kan ook zo zijn dat
managers worden geworven vanwege een grote uitstraling.
2. Training en promotie: De eisen van de functie en de eigenschappen van
de manager zullen in praktijk nooit perfect op elkaar aansluiten. Daartoe
bestaat de behoefte om de afstand tussen werkelijke en gewenste kennis
en vaardigheden te verkleinen. Formele training omvat cursussen,
informele training betekent dat de manager leert van meer ervaren
collega’s. Dit is ook een vorm van administratieve beheersing, maar de
training kan ook tot doel hebben de organisatiecultuur te veranderen,
bijvoorbeeld door de communicatie te verbeteren middels
groepscursussen.
3. Beschikbaarstelling van de benodigde middelen: Het is van belang
voor de inrichting van het managementcontrolsysteem om de
keuzevrijheid per manager vast te stellen om zijn
beschikkingsbevoegdheid te bepalen. Onder middelen (resources) moet
in brede zin worden opgevat en omvat alle apparatuur, de medewerkers,
informatie en het budget dat de manager tot zijn beschikking heeft. Bij
